Compartilhar via

Opções de autenticação de agente auto-hospedado

O Azure Pipelines fornece uma opção de várias opções de autenticação que você pode usar ao registrar um agente. Esses métodos de autenticação são usados somente durante o registro do agente. Consulte a comunicação dos Agentes para obter detalhes de como os agentes se comunicam após o registro.

Método de registro do agente Azure DevOps Services Servidor do Azure DevOps &TFS
PAT (token de acesso pessoal) Suportado Com suporte quando o servidor é configurado com HTTPS
Service Principal (SP) Suportado Não há suporte no momento
Device Code Flow (Microsoft Entra ID) Suportado Não há suporte no momento
Integrado Sem suporte Somente agentes do Windows
Negociar Sem suporte Somente agentes do Windows
Alternativo (ALT) Sem suporte Com suporte quando o servidor é configurado com HTTPS

PAT (token de acesso pessoal)

Especifique PAT para o tipo de autenticação durante a configuração do agente, a fim de utilizar um token de acesso pessoal para autenticar durante o registro do agente. Em seguida, especifique um token de acesso pessoal com o escopo de Pools do Agente (leitura, gerenciamento) (ou o escopo do grupo de implantação (leitura, gerenciamento) para um agente de grupo de implantação), que pode ser usado para o registro do agente.

Para obter mais informações, consulte Registrar um agente usando um PAT (token de acesso pessoal)

Principal de Serviço

Especifique SP como o tipo de autenticação durante a configuração do agente para usar um principal de serviço na autenticação durante o registro do agente.

Para obter mais informações, consulte Registrar um agente usando um Principal de Serviço.

Fluxo de código do dispositivo

Especifique AAD o tipo de autenticação durante a configuração do agente para usar o fluxo de código do dispositivo para autenticar durante o registro do agente.

Para obter mais informações, consulte Registrar um agente usando o fluxo de código do dispositivo.

Integrado

A autenticação integrada do Windows para registro de agente só está disponível para registro de agente do Windows no Azure DevOps Server e no TFS.

Especifique Integrado para o tipo de autenticação durante a configuração do agente para usar a autenticação integrada do Windows para autenticação durante o registro do agente.

Conecte um agente do Windows ao TFS usando as credenciais do usuário conectado por meio de um esquema de autenticação do Windows, como NTLM ou Kerberos.

Para usar esse método de autenticação, primeiro você deve configurar o servidor TFS.

  1. Entre no computador em que você está executando o TFS.

  2. Inicie o Gerenciador do IIS (Serviços de Informações da Internet). Selecione seu site do TFS e verifique se a Autenticação do Windows está habilitada com um provedor válido, como NTLM ou Kerberos.

Captura de tela da configuração de autenticação do Windows TFS do IIS.

Captura de tela da autenticação do Windows TFS do IIS com a configuração do provedor NTLM.

Negociar

O método de autenticação de negociação para registro de agente só está disponível para registro de agente do Windows no Azure DevOps Server e no TFS.

Conecte-se ao TFS como um usuário diferente do usuário conectado por meio de um esquema de autenticação do Windows, como NTLM ou Kerberos.

Para usar esse método de autenticação, primeiro você deve configurar o servidor TFS.

  1. Faça logon no computador no qual você está executando o TFS.

  2. Inicie o Gerenciador do IIS (Serviços de Informações da Internet). Selecione seu site do TFS e verifique se a Autenticação do Windows está habilitada com o uso do protocolo Negotiate e com outro método, como NTLM ou Kerberos.

Captura de tela da configuração de autenticação do Windows TFS do IIS.

Captura de tela da autenticação do Windows TFS do IIS com a configuração do provedor de negociação e NTLM.

Alternativo (ALT)

O método de autenticação alternativo (básico) para registro de agente só está disponível no Servidor do Azure DevOps e no TFS.

Conecte-se ao TFS usando a autenticação Básica. Para usar esse método, primeiro você deve configurar HTTPS no TFS.

Para usar esse método de autenticação, você deve configurar o servidor TFS da seguinte maneira:

  1. Entre no computador em que você está executando o TFS.

  2. Configure a autenticação básica. Consulte Usar tfx no Team Foundation Server 2015 usando a Autenticação Básica.

Observação

Pelo design do produto, a autenticação anônima do IIS é necessária para que a autenticação OAuth funcione. Essa autenticação OAuth está sendo usada pelo Azure DevOps para a funcionalidade de agente e pipeline. Por esse motivo, mesmo que já tenhamos agentes configurados, esses agentes ficarão inutilizáveis se desabilitarmos a autenticação anônima. Os produtos do Azure DevOps já têm uma excelente abordagem de segurança. O aplicativo de servidor TFS/Azure DevOps no IIS não permitirá que solicitações não autenticadas passem. Isso apenas permite que ele passe pela porta da frente do IIS para o aplicativo, que implementa o OAuth. Por exemplo, em uma execução de pipeline, o servidor de build gera um token OAuth por build, que tem como escopo o build e expira após o build. Portanto, mesmo que o token seja protegido, se vazado, ele é inútil após o build - ao contrário de uma identidade. O token OAuth também não está disponível para o código executado pelo processo de build (testes de unidade verificados pelos desenvolvedores). Se dependesse da identidade do Windows sob a qual o serviço Windows era executado, os desenvolvedores que executam testes de unidade na Integração Contínua poderiam elevar suas permissões para acessar ou excluir o código para o qual não têm permissões.

  • Last updated on